AI-Act-Kompassfür KMU

AI Act für KMU: Was jetzt zu tun ist

Rechtsstand: 3.11.2026 · Lesezeit ca. 8 Minuten · Berücksichtigt den Digital Omnibus (VO (EU) 2026/1744)

Die EU-KI-Verordnung („AI Act“) gilt nicht nur für Tech-Konzerne. Sobald Ihr Unternehmen KI-Tools beruflich einsetzt – vom Chatbot bis zur Bewerbersoftware – haben Sie Pflichten. Die gute Nachricht: Für die meisten KMU sind sie überschaubar, wenn man strukturiert vorgeht.

Bin ich betroffen? Anbieter oder Betreiber

Die Verordnung knüpft Pflichten an Rollen. Entscheidend ist, ob Sie ein KI-System anbieten oder betreiben:

Die meisten KMU sind ausschließlich Betreiber. Vorsicht: Wer ein Hochrisiko-System unter eigenem Namen vertreibt, es wesentlich verändert oder seinen Zweck so ändert, dass es hochriskant wird, gilt selbst als Anbieter (Art. 25).

Was heute schon gilt

KI-Kompetenz (Art. 4) – seit 2. Februar 2025

Anbieter und Betreiber sollen Maßnahmen ergreifen, damit Personal, das mit KI-Systemen umgeht, über ausreichende KI-Kompetenz verfügt. Der Digital Omnibus hat die Vorschrift als Förderpflicht ohne festes Mindestniveau gefasst – abgeschafft ist sie nicht. Praktisch heißt das: Schulungen, klare Nutzungsregeln und eine Dokumentation, wer was weiß.

Verbotene Praktiken (Art. 5) – seit 2. Februar 2025

Bestimmte Anwendungen sind untersagt, etwa Social Scoring, manipulative Techniken, das Ausnutzen von Schwächen, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (außer aus medizinischen oder Sicherheitsgründen) oder das ungezielte Auslesen von Gesichtsbildern aus dem Internet. Seit dem Omnibus kommen ab dem 2.12.2026 Verbote für KI-Systeme hinzu, die nicht-einvernehmliche intime Inhalte oder Darstellungen von Kindesmissbrauch erzeugen.

Transparenzpflichten (Art. 50) – seit 2. August 2026

Anbieter generativer KI müssen Ausgaben maschinenlesbar kennzeichnen; für Systeme, die vor dem 2.8.2026 in Verkehr gebracht wurden, läuft dafür eine Übergangsfrist bis 2.12.2026.

Welche Fristen noch kommen

  1. · KI-Verordnung in Kraft getreten

    Start der gestaffelten Übergangsfristen.

    Art. 113
  2. · Verbotene Praktiken & KI-Kompetenz

    Verbote nach Art. 5 gelten. Pflicht, Maßnahmen zur KI-Kompetenz des Personals zu ergreifen (Art. 4; durch den Omnibus als Förderpflicht ohne festes Mindestniveau gefasst).

    Art. 4, Art. 5
  3. · KI-Modelle mit allgemeinem Verwendungszweck

    Pflichten für Anbieter von GPAI-Modellen, Governance und Sanktionsregeln.

    Kap. V, Art. 53 ff.
  4. · Allgemeine Anwendung & Transparenzpflichten

    Die Verordnung gilt allgemein, inkl. Transparenzpflichten für Chatbots, KI-generierte Inhalte und Deepfakes (Art. 50).

    Art. 50, Art. 113
  5. · Kennzeichnung KI-generierter Inhalte (Altsysteme) & neue Verbote

    Ende der Übergangsfrist für die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 bei Systemen, die vor dem 2.8.2026 in Verkehr gebracht wurden (nur Anbieter). Neue Verbote zu nicht-einvernehmlichen intimen Inhalten und Missbrauchsdarstellungen.

    Art. 50 Abs. 2, Art. 111 Abs. 4, Art. 5 Abs. 1 lit. ba/bb
  6. · Hochrisiko-KI nach Anhang III

    Pflichten für eigenständige Hochrisiko-KI-Systeme (z. B. Personalauswahl, Kreditwürdigkeit, Bildung) gelten – für Anbieter und Betreiber.

    Art. 6 Abs. 2, Anhang III, Art. 113
  7. · Hochrisiko-KI in regulierten Produkten (Anhang I)

    Pflichten für KI als Sicherheitsbauteil in Produkten wie Medizinprodukten, Spielzeug oder Aufzügen.

    Art. 6 Abs. 1, Anhang I

Für KMU besonders relevant ist der 2. Dezember 2027: Ab dann gelten die Pflichten für Hochrisiko-KI nach Anhang III, zum Beispiel für KI in der Personalauswahl oder bei der Kreditwürdigkeitsprüfung. Mehr dazu im Ratgeber Hochrisiko nach Anhang III erklärt.

Die 7 Schritte für KMU

  1. Verantwortung klären. Benennen Sie eine Person, die das Thema koordiniert. Ein formaler „KI-Beauftragter“ ist nicht vorgeschrieben, aber hilfreich.
  2. KI-Inventar anlegen. Erfassen Sie alle KI-Systeme: auch Funktionen in bestehender Software (CRM, HR-Tools, Office-Suiten) und Tools, die Mitarbeitende privat mitbringen („Schatten-KI“).
  3. Rolle je System bestimmen. Betreiber, Anbieter oder beides?
  4. Risiko einstufen. Prüfen Sie für jedes System die Verbote, die Hochrisiko-Bereiche und die Transparenzpflichten. Halten Sie die Begründung fest.
  5. Verbotenes sofort beenden. Fällt ein Einsatz unter Art. 5, stellen Sie ihn ein und lassen Sie den Fall rechtlich prüfen.
  6. Pflichten umsetzen. KI-Kompetenz-Maßnahmen, Nutzungsrichtlinie, Transparenzhinweise, bei Hochrisiko die Betreiberpflichten nach Art. 26.
  7. Dokumentieren und aktuell halten. Bei neuen Tools, Zweckänderungen und Rechtsänderungen das Inventar und die Einstufungen aktualisieren.

Diese Schritte geführt erledigen

Der AI-Act-Kompass führt Sie durch Inventar, Einstufung und To-dos – kostenlos für bis zu zwei Systeme.

Kostenlos starten

Erleichterungen für KMU

Was bei Verstößen droht

VerstoßHöchstbetrag
Verbotene Praktiken (Art. 5)bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes
Andere Pflichten (z. B. Art. 26, Art. 50)bis 15 Mio. € oder 3 %
Falsche Angaben gegenüber Behördenbis 7,5 Mio. € oder 1 %

Für KMU gilt jeweils der niedrigere Betrag. Für Art. 4 (KI-Kompetenz) sieht die Verordnung keinen eigenen Bußgeldtatbestand vor; mangelnde Schulung kann aber bei anderen Verstößen und in der Haftung eine Rolle spielen.

Quellen

Dieser Ratgeber dient der allgemeinen Information und ersetzt keine Rechtsberatung. Trotz sorgfältiger Prüfung können sich Rechtslage und Auslegung ändern. Maßgeblich ist der Text der Verordnung (EU) 2024/1689 in ihrer jeweils geltenden Fassung.